Redirections goto Google : un intermédiaire illégal selon le DMA

Depuis le 26 août 2026, chaque lien cliqué dans les résultats de recherche Google transite obligatoirement par les serveurs de l’entreprise avant d’atteindre sa destination finale : c’est le mécanisme des redirections `google.com/goto`, désormais déployé à près de 100 % sur les pools d’IP résidentielles. Ce dispositif, présenté par Google comme une simple mesure anti-abus, soulève des questions bien plus profondes sur le contrôle de l’accès au web, la collecte de données et le respect du Digital Markets Act (DMA). Comment fonctionne concrètement cette infrastructure, dans quel contexte juridique et concurrentiel a-t-elle émergé, et quels en sont les effets réels pour les éditeurs et les utilisateurs européens ?

Goto : une mécanique technique anodine ou une prise de contrôle délibérée ?

Le déploiement de `google.com/goto` a été présenté comme une mesure technique banale, dans la continuité des protections anti-abus que Google applique depuis des années à ses services. Cette lecture est trop confortable. Ce que les données de Nozzle révèlent au 26 août 2026, c’est un taux de couverture proche de 100 % sur les pools d’IP résidentielles : on n’est plus dans un test, ni dans un dispositif ciblé. On est dans une infrastructure systématique.

La mécanique est précise. L’URL directe vers un éditeur tiers, celle qui figurait en clair dans le HTML de la SERP, est remplacée par un jeton chiffré pointant vers les serveurs de Google. Le navigateur, avant d’atteindre le site de destination, doit obligatoirement transiter par cette infrastructure. Il n’existe aucun moyen de contourner ce passage localement : le jeton est signé côté serveur, non réversible, non décodable sans interroger Google.

Google ne propose plus un lien vers un site tiers. Il propose un lien vers lui-même, qui redirige ensuite vers ce site tiers.

C’est précisément cette architecture qui soulève une question réglementaire que le débat francophone n’a pas encore posée frontalement. Google est désigné contrôleur d’accès au titre du Digital Markets Act pour son moteur de recherche. À ce titre, ériger un intermédiaire technique obligatoire entre chaque utilisateur et chaque éditeur tiers présent dans la SERP n’est pas neutre sur le plan du droit européen. Ce n’est pas un jugement définitif. C’est une question précise, à laquelle personne en France n’a encore apporté de réponse sérieuse.

L’Alliance de la presse d’information générale a saisi l’Autorité de la concurrence le 11 août 2026, mais cette saisine vise les AI Overviews, pas les redirections. Aucune procédure formelle ne cible `google.com/goto` en Europe à ce jour. Ce vide n’est pas anodin.

Chronologie : de la discrétion de mars à la confirmation officielle d’août 2026

Les premières traces remontent à mars 2026. Ahrefs et Semrush enregistrent alors un trafic organique anormal sur le chemin `www.google.com/goto`, sans que personne ne s’en empare publiquement. Ce silence dure trois mois.

Le 23 juin 2026, Alex Greenland publie sur X la première observation explicite du phénomène : les liens de la SERP sont réécrits sous la forme `google.com/goto?url=[chaîne encodée]`, avec une redirection au clic. Greenland émet l’hypothèse d’une barrière anti-scraping. Le 2 juillet, Brodie Clark, fondateur de SERP Alert, documente l’extension du mécanisme aux annonces sponsorisées et aux résultats organiques, en s’appuyant sur les données Ahrefs. Le 8 juillet, Barry Schwartz relaie l’anomalie sur Search Engine Roundtable, tout en précisant ne pas pouvoir reproduire la redirection lui-même à cette date.

Le 26 août 2026, Schwartz publie la confirmation officielle du déploiement généralisé, d’abord sur Search Engine Roundtable à 17h01 EDT, puis sur Search Engine Land à 20h13 EDT. Un porte-parole Google transmet une déclaration laconique : « We have a long history of deploying technical measures against evolving forms of abuse, and we regularly take steps to protect our services and users. » Le nom du porte-parole n’a pas été communiqué.

Ce calendrier a une cohérence interne qui mérite d’être lue. Le 20 juillet 2026, soit cinq semaines avant la confirmation officielle, la juge fédérale Yvonne Gonzalez Rogers rejette les deux principaux chefs d’accusation que Google avait portés contre SerpApi au titre du DMCA. La décision établit que les URLs, snippets et données d’indexation de la SERP constituent des faits publics sur lesquels Google ne détient aucun droit d’auteur. Autrement dit : Google échoue juridiquement à protéger ses résultats par la propriété intellectuelle. Trente-sept jours plus tard, soit plus de cinq semaines après, il déploie à près de 100 % une contrainte technique rendant l’extraction de ces mêmes données 500 à 1 000 fois plus coûteuse en requêtes HTTP. La séquence n’est pas une coïncidence. Elle ressemble à une substitution de stratégie.

Ce que fait réellement goto : encodage protobuf, transit forcé et données captées

Avant `goto`, le HTML d’un résultat organique contenait directement l’URL du site tiers dans la balise ``. Le navigateur établissait une connexion directe avec ce site. Le transit par Google se limitait à la requête initiale de recherche.

Avec `goto`, cette balise ne contient plus l’adresse de destination. Elle pointe vers `https://www.google.com/goto?url=[token]`. Ce token est une chaîne binaire encodée en Base64URL, structurée selon le format Protocol Buffers de Google, et reconnaissable au préfixe `CAES`. L’inspection du message protobuf révèle au moins deux champs : un identifiant de version et un bloc de 83 à 84 octets contenant une charge utile chiffrée. Cette charge est aléatoire à chaque génération de SERP et chiffrée côté serveur. Il n’existe pas de clé de déchiffrement locale : la destination finale ne peut être obtenue qu’en interrogeant les serveurs de Google.

Concrètement, le navigateur émet une requête GET vers `google.com/goto`. Google renvoie un HTTP 302 dont l’en-tête `Location` contient l’URL finale. Ce saut intermédiaire implique une résolution DNS, un handshake TLS et un traitement HTTP avant d’atteindre le site cible. La latence est perceptible. Elle est aussi inévitable.

Ce passage obligatoire permet à Google de capturer la télémétrie complète du clic : adresse IP, horodatage à la microseconde, User-Agent, cookies de session (`NID`), position dans la SERP, identifiant de requête. Les extensions de navigateur qui bloquaient l’attribut HTML `ping` ou réécrivaient les liens localement deviennent inopérantes : il n’y a plus rien à réécrire dans le DOM, le lien pointe déjà vers Google.

Pour l’éditeur tiers, la perte est concrète. L’URL de destination n’est plus lisible directement dans le HTML de la SERP. La navigation en provenance de Google peut être requalifiée en trafic direct dans Google Analytics 4 si l’en-tête HTTP Referer est tronqué ou altéré lors de la redirection. L’éditeur perd ainsi de la visibilité sur sa propre acquisition organique, sans aucun moyen d’y remédier côté site.

Le phénomène dépasse la SERP classique. Des liens `/goto` ont été observés comme sources citées dans des moteurs basés sur des agents IA, notamment dans le contexte des réponses génératives, masquant l’adresse d’origine des éditeurs dès la phase de collecte. L’opacification ne s’arrête pas à la page de résultats Google. Elle se propage en amont de la chaîne.

Goto face au DMA : trois articles qui posent problème

• Article 5(2) du DMA, combinaison des données personnelles : le texte interdit au contrôleur d’accès de croiser des données issues d’un service de plateforme essentiel avec d’autres services sans consentement explicite, libre et éclairé au sens du RGPD. Chaque clic transitant par `google.com/goto` génère une collecte systématique : IP, cookies, position dans la SERP, identifiant de requête. Ces données alimentent des profils Google sans que l’utilisateur ait donné un consentement conforme à l’article 7 du RGPD pour cette corrélation précise. Google est gatekeeper désigné pour Search depuis le 6 septembre 2023, avec obligations effectives depuis le 7 mars 2024 : la collecte forcée de télémétrie de clic via une redirection interposée s’inscrit dans le périmètre de cette disposition.
• Article 6(5) du DMA, interdiction de l’auto-préférence : cet article impose des conditions transparentes, équitables et non discriminatoires dans le classement et l’accès. En substituant les liens directs vers des éditeurs tiers par un relais technique pointant vers ses propres serveurs, Google s’érige en intermédiaire incontournable sur chaque sortie de SERP. L’accès de l’utilisateur à un site concurrent n’est plus direct : il est médiatisé, contrôlé et rendu opaque par une infrastructure que seul Google maîtrise. C’est structurellement une forme de préférence pour sa propre infrastructure sur le trafic sortant.
• Article 13 du DMA couplé à l’article 6(10), clause anti-contournement et accès aux données : l’article 13 interdit toute mesure technique ayant pour effet de contourner les obligations du règlement. L’article 6(10) garantit aux utilisateurs professionnels un accès effectif, continu et en temps réel aux données générées par leur présence sur la plateforme. Les redirections `goto` opacifient précisément ces données : référents HTTP altérés, URLs non lisibles dans le DOM, données de clic captées avant d’atteindre l’éditeur. Le résultat est une entrave technique à l’accès aux données que le DMA protège explicitement, mise en œuvre sans modification des obligations contractuelles, donc difficilement contestable par d’autres voies que l’article 13.

Objection légitime : la lutte anti-scraping ne justifie-t-elle pas tout ?

La position de Google n’est pas sans fondement. Les moteurs de recherche sont des cibles permanentes du scraping industriel, et Google a effectivement une longue histoire de mesures techniques défensives contre l’extraction automatisée de ses résultats. Les redirections `goto` s’inscrivent dans cette continuité : rendre chaque URL de destination illisible localement, et multiplier par 500 à 1 000 le coût en requêtes nécessaires pour extraire une SERP complète, c’est une stratégie de dissuasion cohérente.

Le problème est que la décision judiciaire du 20 juillet 2026 retire à Google l’argument de propriété sur lequel cette défense repose habituellement. La juge Gonzalez Rogers a statué que les URLs, snippets et données d’indexation de la SERP constituent des faits publics. Google ne détient aucun droit d’auteur sur ces éléments. La contrainte technique arrive donc au moment précis où la contrainte juridique s’effondre, et elle cible les mêmes acteurs avec les mêmes objectifs. Le séquençage affaiblit la neutralité de la justification.

Face au DMA, l’argument anti-scraping n’est pas suffisant. Le règlement ne dispense pas un contrôleur d’accès de ses obligations en raison de la légitimité d’un objectif secondaire. La conformité au DMA s’apprécie sur les effets du mécanisme, pas uniquement sur l’intention déclarée. Or les effets sont mesurables : collecte systématique de télémétrie sur chaque clic sortant, opacification des données de référencement pour les éditeurs tiers, interposition d’une infrastructure Google entre l’utilisateur et tout site concurrent.

Aucune enquête européenne n’a été ouverte sur `google.com/goto` à ce jour. Mais la Commission a ouvert le 25 mars 2024 une procédure de non-conformité contre Alphabet pour autofavoritisme dans Search au titre de l’article 6(5), précisément l’une des dispositions que les redirections `goto` semblent solliciter. L’absence d’enquête spécifique sur ce mécanisme ne signifie pas que le mécanisme est conforme : elle signifie seulement que les régulateurs ne l’ont pas encore instruit. Ce sont deux choses distinctes.